防火墙—IPSec VPN（国密认证）

两个防火墙之间通过 IKE 建立 IPSec VPN 隧道（国密认证）

组网需求：某公司总部和分部之间要通过 Internet 进行通信，为保证信息安全，计划搭 建 IPSec VPN 隧道对通信的数据进行加密。

1、总部和分部均使用防火墙联入互联网。

2、两台防火墙均工作在路由模式，分别位于公网出口，即边界处。  

3、两台防火墙之间搭建 VPN 自动隧道，其中 CA 中心为防火墙 1 。

两台防火墙的具体参数如下表所示。

 配置思路 ：国密认证时的配置思路如下图所示

 配置防火墙 1

步骤 1 配置防火墙接口 IP 地址、源 NAT 、安全策略等，保证内网主机可以访问互 联网。具体步骤略。

步骤 2 进入 Web 配置界面，选择“网络配置 > 路由 > 静态路由”，单击“添 加”，配置默认路由。

步骤 3 配置 SM2 算法的可信 CA 。

 

1、进入 CLI 配置界面，输入以下命令，创建基于 SM2 算法的 CA 。

NSG-config] pki cacenter generate ca country cn state

beijing city beijing commpany qianxin depart production

cname qianxin-firewall email 123@qianxin.com

validperiod 1000 pkey SM2-256

2、 进入 Web 配置界面，选择“系统配置 > CA 中心 <